Екипът на ядрото на Linux отхвърля извиненията на изследователите от Университета в Минесота

Миналата седмица, главният разработчик на ядрото на Linux Грег Кроах-Хартман Рекламирайте По подразбиране всички Linux кръпки, идващи от университета в Минесота, ще бъдат отхвърлени.

Промяната в политиката настъпи, когато трима изследователи от Университета в Минесота – Qiushi Wu, Kangjie Lu и Aditya Pakki – се впуснаха в програма за тестване на съпротивлението на общността на разработчиците на ядрото на Linux към това, което групата нарече „ангажираността на лицемера“.

Тест на общността на ядрото на Linux

Тройна Планирано Първоначално тя включваше откриване на три лесни за отстраняване грешки с нисък приоритет в ядрото на Linux и след това отстраняването им – но поправянето им по начин, който допълва това, което изследователите на UMN нарекоха „незряла уязвимост“:

Използваме инструмент за статичен анализ, за ​​да идентифицираме три „незрели уязвимости“ в Linux, така че откриваме три истински незначителни грешки, които трябва да бъдат отстранени. „Незрелите уязвимости“ не са истински уязвимости, тъй като едно условие (като използване на редактиран обект) все още липсва […] Изграждаме три неправилни или непълни малки корекции, за да коригираме трите грешки. Тези вторични корекции обаче осигуряват липсващите условия за „незрели слабости“.

След това изследователите изпратиха по имейл трите корекции на троянски коне до модераторите на ядрото на Linux, за да видят дали модераторите са открили по-сериозния проблем, който изследователите са въвели при отстраняване на обикновена грешка. След като модераторите отговориха на изпратената корекция, изследователите на UMN посочиха грешката, в която е влязъл техният пластир, и предоставиха „правилен“ пластир – такъв, който не представя ново използваем случай – на място.

Luo, Wu и Paki публикуваха своите констатации през февруари на 42-ия IEEE симпозиум за сигурност и поверителност.

Първоначален отговор

Миналата седмица един от старши разработчик на ядрото на Linux Грег Кроу Хартман отстъпвайки 68 етикета, публикувани от хора с имейл адреси umn.edu в отговор на „Задълженията на лицемерите“. Освен връщането на настоящите 68 корекции, Kroah-Hartman обяви политика на „хипотетично отхвърляне“ на бъдещи корекции, идващи от всеки, който има @umn.edu Заглавие.

Кроах-Хартман продължи да допуска изключения за такива бъдещи корекции, ако „предоставите доказателства и можете да проверите това“, но той продължаваше да пита: „Наистина, защо си губите времето за тази допълнителна работа?“

Катедрата по компютърни науки и инженерство в университета в Минесота отговори на забраната с „незабавно спиране“[ing] Тази линия на изследване „обещава да изследва метода на изследователите – и процеса, който е одобрен.

Извинението не е приемливо

Тази събота изследователският екип на UMN извинявам се До общността на Linux чрез отворено писмо, публикувано в пощенския списък на ядрото на Linux. Отвореното писмо с приблизително 800 думи идва като „изчакайте, не разбирате“, отколкото извинение:

Искаме само да знаете, че няма да навредим умишлено на общността на ядрото на Linux и никога няма да въведем уязвимости в сигурността. Нашата работа се извършва с най-добри намерения и е свързана с намирането и отстраняването на уязвимости.

Работата на „лицемерите“ беше извършена през август 2020 г. Целта му беше да подобри сигурността на процеса за отстраняване на грешки в Linux. Като част от проекта разгледахме потенциални проблеми в процеса на отстраняване на грешки в Linux, включително причините за проблемите и предложения за тяхното отстраняване.

Kroah-Hartman призна посланието в неделя, но очевидно беше по-малко впечатлен:

Както знаете, фондацията Linux и Техническият консултативен съвет на фондация Linux подадоха в петък писмо до вашия университет, в което се посочват конкретните действия, които трябва да се извършат, за да може вашата група и вашият университет да работят за възстановяване на доверието на общността на ядрото на Linux.

Докато не бъдат предприети тези действия, няма какво друго да обсъждаме по този въпрос.

В момента не знаем какви точно процедури изискват Kroah-Hartman и Linux Foundation от групата и нейния университет.